ManageEngine 4製品でSSOチケット推測によるアカウント乗っ取りの脆弱性CVE-2026-11374が判明、CVSS9.0で即時パッチ必須

「社内のIT管理ツールが攻撃経路になるって本当に怖い。ManageEngineって大丈夫？」
「SSOって便利だけど、それ自体が乗っ取りの穴になるってどういうこと？」

チップス

ボスー！ManageEngineにパスワードなしで他人のアカウントに入れる脆弱性があるって聞いたんでしゅけど、本当でしゅか？

ボス

本当だ。CVE-2026-11374は、ManageEngineのSSO認証チケットの生成ロジックが予測可能だという欠陥だ。ネットワーク越しに認証なしで攻撃でき、管理者アカウントまで乗っ取れる。CVSS9.0という深刻度は伊達じゃないぞ。

Zoho提供のIT管理プラットフォーム「ManageEngine」の4製品にCVSS9.0の認証回避脆弱性CVE-2026-11374が発見されました。
攻撃者がSSOチケットを推測するだけで、パスワードなしに任意ユーザーのアカウントへアクセスできます。
修正済みバージョンは提供済みですが、未適用の環境では即時パッチ適用が必要です。

ManageEngineはActiveDirectory管理・パスワードリセット・監査ログなど企業ITの中枢を担うツールです。
過去にはAPT（高度持続型脅威）グループの標的にもなっており、今回の脆弱性は放置するリスクが非常に高いといえます。

ManageEngineのSSO認証に欠陥、パスワードなしで他人のアカウントへアクセス可能

CVE-2026-11374はManageEngine AD360と統合して使用する場合に発生する脆弱性です。
SSO（シングルサインオン）でサインインした際に発行される認証チケットが予測可能な形式で生成されており、第三者がそのチケットを計算・推測できてしまいます。
結果として、対象ユーザーのIDとロール情報を取得し、そのアカウントを完全に乗っ取ることが可能です。

影響を受ける4製品と修正済みバージョン

修正が必要なバージョンは以下の通りです。

これらの製品はいずれもActiveDirectory管理や監査の核となるもので、管理者アカウントが乗っ取られた場合の被害は甚大です。

チップス

SSOって便利だから導入してるのに、それが穴になるって本末転倒でしゅよね！

ボス

便利さとリスクは表裏一体だ。SSO自体が悪いわけではなく、チケット生成の実装が甘かっただけだ。修正版はチケットの生成ロジックを強化してある。問題は「自分が使っているバージョンを把握していない」管理者が多いことだな。

予測可能なSSOチケット生成の仕組みと、攻撃者がアカウントを奪うまでの流れ

SSOチケットは「この人は誰で、どの権限を持つか」をシステム間で伝えるための証明書です。
正常な実装では、このチケットは十分にランダムで予測不可能である必要があります。
しかしCVE-2026-11374では、チケット生成に使われる値が推測可能だったため、攻撃者が計算によって有効なチケットを偽造できました。

認証なしでアカウントを奪う攻撃の3ステップ

攻撃の流れをまとめます。

特に危険なのは管理者権限を持つアカウントです。
ManageEngineはActiveDirectory全体を管理するツールのため、管理者アカウントが奪われればドメイン全体の制御を失います。
また、ManageEngine ADSelfService PlusはCISAが2021年に「APTグループに積極的に悪用された」と警告した実績があります。
攻撃者にとって価値の高い標的であることは過去の事案からも明らかです。

チップス

早速バージョン確認してみるんでしゅけど、アップデート以外にやれることってあるんでしゅか？

ボス

まずバージョンアップが最優先だ。それ以外では、ManageEngine製品へのネットワークアクセスをVPNや信頼済みIPに制限する。管理者アカウントの最近のアクセスログを確認し、不審なログインがないか確認する。この2つを同時にやれ。

まとめ：IT管理の中枢を担うツールだからこそ、パッチ適用は最速で

CVE-2026-11374はSSOチケットの予測可能性を突いた、認証回避の深刻な脆弱性です。
CVSS9.0、ネットワーク越しに認証不要で悪用可能という条件は、攻撃者にとって非常に扱いやすい脆弱性です。
過去にAPTグループに狙われた経緯もあり、ManageEngine製品は常に攻撃者の注目を集めています。
修正バージョンへの更新を最速で済ませ、アクセスログで異常を確認しておきましょう。